はじめに

Batfishは、ネットワーク機器のスナップショット(Config等)に対し、Questionを使って様々な問い合わせを行います。
Questionの例として、Advent Calender 3日目で紹介したnodePropertiesや、Advent Calender 4日目で紹介したinterfacePropertiesがあります。他にも、2018年11月末時点で、42種類のQuestionが提供されています。
本記事では、各Questionでできることの概要をまとめたいと思います。

Questionの仕組み

以下URLの情報をもとに、イメージを図で表してみました。
https://github.com/batfish/batfish/tree/master/questions

まずPybatfish(クライアント)でJSON形式のQuestionテンプレートをロードします。次に、ユーザが定義したノード名やプロパティ等の変数をテンプレート内に埋め込みます。このテンプレートを使ってBatfishサービス(コーディネーター)にREST APIリクエストをかけ、内容に従ったスナップショットの解析を行い、結果をPybatfishに返すという流れになります。

Batfishで使用可能なQuestion

一覧は以下URLに掲載されています。

　[Web版]　https://pybatfish.readthedocs.io/en/latest/questions.html#module-pybatfish.question.bfq
　[PDF版]　https://media.readthedocs.org/pdf/pybatfish/latest/pybatfish.pdf

QestionテンプレートのJSONファイルを見たい方は以下を参照願います。

　https://github.com/batfish/batfish/tree/master/questions

現在も活発に開発が行われており、StableとExperimentalの2つのカテゴリーが存在します。

　Stable： 恒久的なもので、今のところ今後もサポートしていく予定。
　Experimental： 現在はサポートされているが、今後リプレイスや廃止の可能性あり。Stableに移行する可能性もある。

原文をそのまま日本語にすると分かりづらいのもあるので、実際に実行してみた結果をもとに、具体例を交えて記載しています。気になるQuestionがあれば、原文やチュートリアルを見てみて下さい。
参考情報として、Stable(S)/Experimental(E)の区分や、公式チュートリアルがあるか(★)も記載しました。
一部Questionの実行結果、解析対象のConfigファイルをGistに保管してありますので、見比べながら表を見て頂くと分かりやすいかもしれません。

####Question一覧

No.	Question	内容	区分
1	aaaAuthenticationLogin	AAA認証が適用されていないline(aux、con、vty)を出力	S
2	bgpPeerConfiguration	BGPピア設定情報を出力	E
3	bgpProcessConfiguration	BGPプロセス設定情報を出力	E
4	bgpSessionCompatibility	設定したBGPセッションのステータスを出力(対向機器の設定は考慮しない)	E
5	bgpSessionStatus	設定したBGPセッションのステータスを出力	E
6	definedStructures	ネットワーク内で定義された構造をリストアップ。具体的には、インターフェース、クラスマップ、ポリシーマップ、ACL名等を抽出し、それが何行目から何行目までに設定されているかを出力	S
7	detectLoops	ループを検出	E
8	differentialReachability	ある構成(現状)では許可されるが、別の構成(設定後)ではドロップされるフローを検出	E★
9	edges	指定したタイプ(layer3、BGP、OSPF、EIGRP等)のネイバー関係をリストアップ	S★
10	fileParseStatus	ファイルのパース(構文解析)ステータスを表示。問題なければPASS、Batfishがうまくパースできない行があった場合、PARTIALLY_UNRECOGNIZEDやFAILと表示される	S★
11	filterLineReachability	前の行でより広い範囲をカバーするACL行があるために、評価されないACL行を特定	E★
12	filterTable	あるQuestionに対する回答をさらにフィルタする	E
13	interfaceMtu	MTU値が、指定した条件と合致するインターフェースを出力。"<"などの比較演算子を使い、例えば1500より小さいものを出力することが可能	E
14	interfaceProperties	インターフェース設定のプロパティを出力	E★
15	ipOwners	スナップショット内の全機器のIPアドレス、インターフェース、ノード、VRFのマッピングを出力	S
16	ipsecSessionStatus	設定したIPSecセッションのステータスを出力	S
17	multipathConsistency	マルチパスのルーティングが存在する中で、経路によって異なる扱いを受けるフローを検出	E★
18	namedStructures	ACLやVRF等の名称と中身を構造化されたデータとして出力	E
19	neighbors	スナップショット内機器における、特定のレイヤー(layer3、eBGP、iBGP、OSPF、EIGRP等)のネイバー関係をリストアップ	E
20	nodeProperties	ノード設定のプロパティを出力	E★
21	nodes	各ノードのすべて(もしくはサマリー）の設定パラメータを、ベンダー非依存のデータモデルの形で、JSON辞書形式で出力	E
22	ospfProperties	OSPFルーティングプロセスに関する設定パラメータを出力	E
23	parseWarning	パース出来なかったConfig、行番号、コメントを出力	S★
24	prefixTracer	あるプレフィックス(A.B.C.D/Y)のネットワークへの伝播をトレース	E
25	reachability	入力/出力箇所、送信元/宛先IPアドレス、配置上の制約にマッチするフローを検出	E★
26	referencedStructures	ACL、クラスマップ等と、それを参照する設定(アクセスグループ、ポリシーマップ）と行番号を出力	S
27	resolveFilterSpecifier	各ノードが持つACL名、ACL番号の一覧を出力	E
28	resolveInterfaceSpecifier	各ノードが持つインターフェース名の一覧を出力	E
29	resolveIpSpecifier	IP指定子によって解決された値を出力	E
30	resolveIpsOfLocationSpecifier	各ノードが持つインターフェースとそのIPアドレスの一覧を出力	E
31	resolveLocationSpecifier	各ノードのインターフェースのロケーション(インターフェース名やノード名)の一覧を出力	E
32	resolveNodeSpecifier	各ノードのノード名を出力	E
33	routes	特定のノード、VRF、RIB(main/bgp/bgpmp)に関するルート情報を出力	S★
34	searchFilters	あるFilter/ACLが対象フローを許可、拒否したり、特定の行にマッチするか検索	E★
35	testFilters	特定のフローが、特定のfilter/ACLによってどのように処理されるかを検出	S★
36	traceroute	指定した開始ノードから宛先へ仮想的なTracerouteを行う。実際のTracerouteと異なり、各ホップの戻り通信がNGでもIPアドレスは返してくれる	E★
37	undefinedReferences	参照しているACL等が、実際には定義されていないケースを検知(場合によっては、深刻な結果を招くミスの可能性あり)	S★
38	unusedStructures	ACL、ルートマップ等が定義されているが、使われていないケースを検知(Config誤り等の可能性あり)	S
39	viModel	すべての設定パラメータとネイバー関係を、ベンダー非依存のデータモデルの形で、JSON辞書形式で出力	E
40	viConversionWarning	ベンダー非依存モデルに変換したときに発生したWarningを出力	S
41	loopbackMultipathConsistency	マルチパスのルーティングが存在する中で、経路によって異なる扱いを受けるLoopback間のフローを検出	E
42	subnetMultipathConsistency	マルチパスのルーティングが存在する中で、経路によって異なる扱いを受けるサブネット間のフローを検出	E

最後に

今回調べていく中で、Batfishが強力なネットワーク解析ツールであることを改めて実感しました。
個人的に興味を持ったQuestionについて、もう少し踏み込んだ内容を別の記事で紹介できればと思います。
あと、Advent Calendarはまだまだ空いていますので、みなさんも是非触ってみた結果を共有してもらえると嬉しいです！